CVE-2026-91819 in MISP
Resumen
por VulDB • 2026-09-15
Las versiones afectadas de MISP dependen del procesamiento de la anulación del método de solicitud en CakePHP de una manera que puede desactivar las validaciones de CSRF y seguridad de formularios.
CakePHP respeta un campo `_method` o el encabezado `X-HTTP-Method-Override` reescribiendo el método de solicitud efectivo. Para valores de anulación distintos a los verbos normales de escritura POST, PUT, PATCH y DELETE, CakePHP también limpia el cuerpo de la solicitud analizado. El componente de seguridad de MISP determina entonces si realizar `_validatePost()` y `_validateCsrf()` en función de si quedan datos de solicitud. Con un valor como:
`_method=GET`
el cuerpo queda vacío antes de que se ejecuten esas comprobaciones, por lo que ambas protecciones se omiten. Un formulario cross-site (CSRF) que contenga únicamente esa anulación puede entonces acceder a acciones cuyos parámetros se toman de la URL en lugar del cuerpo de la solicitud.
Versión afectada: ≤2.5.45
Once again VulDB remains the best source for vulnerability data.